ゼロトラスト製品は一度に揃えず、ID、端末、接続の順に選びます。ゼロトラストは製品名ではなく、NIST SP 800-207が示すように、ネットワークの場所や端末の持ち主だけでは信頼を与えないという考え方です。
今日やることは、社内で使っているサービスの一覧を作ることです。メール、ファイル共有、会計、勤怠、生産管理、VPN。それぞれに、IDを誰が発行しているか、多要素認証は有効か、退職者のIDは消えているかを書いてください。空欄が出た場所が、最初に手を付ける場所です。
なぜIDから始める？
順番には理由があります。IPAの産業サイバーセキュリティセンターの中核人材育成プログラムがまとめたゼロトラスト移行のすゝめ（2022年6月）は、ID統制、デバイス統制の順に進める実装順序を提案しています。
理由は明快です。「誰が」を確かめられないと、端末や接続の条件を決めても意味が薄くなります。同じ資料は、ID基盤が整っていないと、その後の製品で不適切な通信を認めてしまうおそれがあると書いています。
資料は2022年時点の考えで書かれ、有効期限は発行日から2年とされています。製品の話は古くなっている部分があるので、ここでは順序の考え方として読んでください。同じ資料は、実際にはIDと端末を並行して進めることもできると補足しています。
| 順番 |
揃えるもの |
主な製品の分類 |
終わった状態 |
| 1 |
ID |
IDaaS、多要素認証 |
全サービスの入口とIDの持ち主が分かる |
| 2 |
端末 |
MDM、EDR |
会社の端末の一覧があり、状態が見える |
| 3 |
接続 |
ZTNA、SWG、SASE |
社外からの接続を、IDと端末で許可できる |
1段目：IDはどこまで揃える？
最初の目標は、多要素認証をすべての入口で有効にすることと、退職者のIDが残らない状態にすることです。
新しい製品を買う前に、今の契約で使える範囲を確かめてください。Microsoft 365を使う会社なら、Microsoftのセキュリティの既定値群は、追加の費用なしで多要素認証の登録などを求める設定です。対象はEntra IDのFreeレベルを使う組織などです。
もう少し細かく、社外からは多要素認証を求める、といった条件を付けたいなら条件付きアクセスを使います。Microsoftの価格ページによると、これを含むEntra ID P1は中小企業向けのMicrosoft 365 Business Premiumに含まれ、単体では1ユーザ月1,049円相当（年払い、税抜、2026年11月7日確認）です。
Microsoft以外のサービスも多く、IDをまとめたいときはIDaaSを比べます。IPAの資料は、IDの一元管理で削除の漏れが減り、シングルサインオンで利用者の負担も軽くなると説明しています。公開されている条件には差があります（2026年11月7日確認）。
人数が少ない会社は、単価より最低額を見てください。Oktaの条件なら、Starterで21人までは240,000円の最低額が下限になります。製品の並びはIDaaSの製品比較で確かめられます。
2段目：端末はどこまで揃える？
会社の端末の一覧を作り、その状態が見えるようにします。IPAの資料は、デバイス統制を守るべき端末を洗い出して管理下に置くことと説明し、更新の適用や、EDRなどの配布を一元的にできる点を理由に挙げています。この管理が漏れた端末は、セキュリティの穴になります。
中小企業での順番は次のとおりです。
- 台帳を作る（表計算でもかまいません。誰の端末か、OSの版、更新の状況）
- MDMなどで更新の状態を見られるようにする
- 怪しい動きを見るEDRを、重要な端末から入れる
- IDaaSと連携し、管理下の端末だけログインできるようにする
EDRは、警告を誰が見るかまで決めないと役に立ちにくい製品です。見る人が社内にいないなら、監視を含むサービスの有無もEDRの製品比較で確かめてください。
工場の端末はどう扱う？
製造業で必ず悩むのが、共用端末と設備用のパソコンです。たとえば、古いOSで生産設備につながるパソコンがある場合。エージェントを入れられない、更新すると設備が動かなくなるおそれがある、という機器は珍しくありません。
このような端末を、事務所のパソコンと同じ条件にそろえようとすると、計画全体が止まります。先に3つに分けてください。
- 事務所のパソコン：最初の対象
- 工場の共用端末：1人1IDにできるかを現場と決める
- 設備用のパソコン：対象の外に置き、ネットワークを分けて守る
外に置いたものは台帳に残します。「対象外」と「忘れている」は別物です。IPAの資料にも、一足飛びに理想の構成へ行けないなら、中間の構成を目標にする考え方があります。
3段目：接続はいつ変える？
IDと端末の条件が使えるようになってから、接続を変えます。順番を逆にすると、ZTNAを入れても「誰がどの端末で」の判定材料が足りません。
ZTNAは、IIJの解説によると、利用者と端末の信頼性を動的に評価して最小権限のアクセスを実現する機能です。VPNが社内ネットワークへの入口を開くのに対し、必要なシステムへの接続だけを認める形に近づけられます。
VPNの扱いは、急ぐ理由と急がない理由の両方があります。警察庁の令和8年上半期の資料では、ランサムウェア被害組織へのアンケートで、侵入経路はVPN機器が約5割です。一方で、一度に切り替えると業務が止まりかねません。移行の間もVPNの更新と多要素認証は続けて、対象のシステムを1つずつ移してください。
費用は、公開価格で見当をつけられます。Entra Private Accessは1ユーザ月749円相当（年払い、税抜、2026年11月7日確認）です。VPN機器の保守費がなくなるのは、全部を移し終えたあとです。IPAの資料も、新たな費用となくせる費用の時期を分けて整理するよう書いています。
製品はZTNAの製品比較で並べられます。Web閲覧の検査や拠点の回線までまとめるなら、SASE製品の比べ方を読んでください。拠点の機器を残すなら、次世代ファイアウォールとUTMの違いやFortiGateでSD-WANを始める条件も関係します。
社内にどう説明する？
社長に一度に承認してもらおうとすると、金額が大きく見えて止まりがちです。段階ごとに、費用と終わりの状態を分けて出してください。
- 今月：サービスの一覧、多要素認証の有効化。費用はほぼ作業の時間
- 次の段階：IDaaSの導入、端末の台帳と更新の管理
- その次：重要な端末へのEDR、VPNの一部をZTNAへ移行
IPAの情報セキュリティ10大脅威2026の組織向けでは、1位がランサム攻撃、8位にリモートワーク等の環境や仕組みを狙った攻撃が入っています。この順位と、社内の一覧の空欄を並べると、なぜIDから始めるのかを説明しやすくなります。ログの分析を後に回すのも、IPAの資料が示す順序のとおりです。ネットワーク側の守りの全体像はネットワークセキュリティのカテゴリにまとめています。
